为什么必须衔接
功能安全关注系统失效时是否安全，信息安全关注是否被恶意利用。功能安全以 IEC 61508 为通用基础，过程工业应用 IEC 61511；信息安全以 IEC 62443 为主。两者必须衔接的原因很直接：安全功能由控制器、网络与软件实现，这些组件同样面临网络攻击，攻击可以让安全功能静默失效，而功能安全标准本身并不覆盖恶意行为。
两套体系的差异
| 目标 | 功能安全降低随机失效概率，信息安全降低被利用与篡改的可能 |
|---|---|
| 验证方式 | 功能测试与校验周期 对 漏洞管理与配置核查 |
| 时间维度 | 按失效概率与校验周期 对 按威胁演化与补丁节奏 |
| 关注交集 | 安全功能的完整性与可用性 |
| 衔接点 | 安全相关组件的访问控制、变更管理与监测手段 |
冲突点与处理方向
| 冲突点 | 表现 | 处理方向 |
|---|---|---|
| 变更节奏 | 信息安全要求及时打补丁，功能安全要求变更后重新验证 | 以功能安全验证为前提安排窗口，期间用补偿措施 |
| 接入限制 | 信息安全要采集日志，功能安全要求最小接入 | 采用被动采集与镜像，避免串联与主动探测 |
| 账号权限 | 信息安全要求唯一身份，部分安全控制器不支持 | 在组态与网络侧补偿，并记录残余风险 |
| 旁路管理 | 功能安全允许经审批旁路，信息安全要求杜绝未授权 | 统一旁路审批、记录与到期机制 |
| 人员流程 | 两套团队与两套流程并行 | 在制度层合并为同一变更与应急流程 |
落地做法
- 把安全相关组件纳入信息安全资产台账与通路清单，不留管理盲区
- 风险评估同时给出功能安全后果与信息安全后果，避免只算一侧
- 安全相关组件的任何变更，功能安全验证与信息安全评审同步进行
- 用被动手段建立对安全相关组件的监测，不引入串联与主动扫描
- 把旁路与临时措施纳入统一审批与到期提醒，与交接班检查绑定
「功能安全已经做了冗余与诊断，就不用管信息安全」是常见误判：冗余防的是随机失效，防不住多路信号被同时篡改。针对安全功能的攻击通常针对逻辑、组态与测量输入，而不是硬件冗余本身。
在安全相关网段实施信息安全措施时，任何可能影响回路时延或可用性的动作，例如串联检测、主动扫描与在线打补丁，都必须先做影响评估并与功能安全负责人共同确认。